Bburky

**Nome do Software Vulnerável e Versões Afetadas** Versões do MinIO Operator anteriores a 7.1.0 **Descrição** O problema refere-se ao STS do MinIO Operator, uma Autenticação IAM nativa para Kubernetes. Sem o escopo adequado, a autenticação pode ser replayada para outros sistemas internos que podem confiar nela inadvertidamente. Isso ocorre quando nenhum público é fornecido para o campo `spec.audiences`, assumindo por padrão o apiserver do Kubernetes. **Recomendações** Para versões anteriores a 7.1.0, atualize para a versão 7.1.0 para resolver o problema. Como solução temporária, considere especificar públicos para o campo `spec.audiences` para evitar que o padrão seja o apiserver do Kubernetes.

**Nome do software vulnerável e versões afetadas** Versões do zot anteriores à 2.1.0 **Descrição** O driver de cache `GetBlob()` no zot, um registro de imagens OCI, permite acesso de leitura a qualquer blob sem uma verificação de controle de acesso. Se uma política `accessControl` do Zot permitir que usuários tenham acesso de leitura a alguns repositórios, mas restringir o acesso de leitura a outros repositórios, e se `dedupe` estiver habilitado, um invasor que conheça o nome de uma imagem e o resumo de um blob poderá lê-lo de forma maliciosa por meio de um segundo repositório ao qual tenha acesso de leitura. Esse ataque é possível porque `ImageStore.CheckBlob()` chama `checkCacheBlob()` para localizar o blob em um cache global por meio da pesquisa do resumo. Se encontrado, ele é copiado para o repositório solicitado pelo usuário com `copyBlob()`. O ataque requer que o invasor conheça o nome de uma imagem privada e os resumos de suas camadas. **Recomendações** Para resolver o problema, atualize para a versão 2.1.0 ou posterior. Como solução alternativa temporária, considere configurar “dedupe”: false nas configurações de “storage” para desativar os drivers de cache do Zot.

**Name of the Vulnerable Software and Affected Versions** Kyverno versions prior to 1.10.0 **Description** The issue allows resources with the `deletionTimestamp` field defined to bypass validate, generate, or mutate-existing policies, even when the `validationFailureAction` field is set to `Enforce`. This occurs because resources pending deletion were exempted by Kyverno to reduce processing load. A malicious user could leverage the Kubernetes finalizers feature by setting a finalizer, causing the Kubernetes API server to set the `deletionTimestamp`, and then not completing the delete operation to bypass a Kyverno policy. For example, a Kubernetes Service resource can be manipulated using an indefinite finalizer to bypass policies. This issue is not applicable to Kubernetes Pods. **Recommendations** For Kyverno versions prior to 1.10.0, update to Kyverno 1.10.0 to resolve the issue. As a temporary workaround, consider restricting the use of the Kubernetes finalizers feature to minimize the risk of exploitation. Avoid using indefinite finalizers for resources, such as Kubernetes Service resources, until the issue is resolved. Note that there is no known workaround for this issue.

**Name of the Vulnerable Software and Affected Versions** git-fastclone versions prior to 1.0.1 **Description** The issue allows for arbitrary shell command execution from .gitmodules. An attacker can exploit this by instructing a user to run a recursive clone from a controlled repository, or by performing a man-in-the-middle (MITM) attack on an unencrypted git clone. The `ext` command will be executed when the repository is recursively cloned or when submodules are updated. This attack is effective for both local and remote repository clones. **Recommendations** For git-fastclone versions prior to 1.0.1, update to version 1.0.1 or later to resolve the issue. As a temporary workaround, consider avoiding recursive clones and submodule updates from untrusted repositories. Restrict access to the `ext` command to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** git-fastclone versions prior to 1.0.5 **Description** The issue allows an attacker to execute malicious commands by modifying user modifiable strings that are passed as arguments to `cd` and `git clone` commands in the library. This is due to the library passing these strings directly to a shell command. **Recommendations** For git-fastclone versions prior to 1.0.5, update to version 1.0.5 or later to resolve the issue. As a temporary workaround, consider restricting the use of user modifiable strings in the `cd` and `git clone` commands to minimize the risk of exploitation.